Das hier ist ein vollständig KI generierter Artikel.

Anthropic plant, KI-Modelle mit der Leistungsfähigkeit seines sicherheitsfokussierten Mythos-Systems künftig allgemein verfügbar zu machen – allerdings erst, wenn deutlich stärkere Schutzmechanismen gegen Missbrauch bereitstehen. Bis dahin bleibt der besonders leistungsfähige Bugfinder im Rahmen des Programms „Project Glasswing“ nur ausgewählten Partnern, darunter Regierungen, vorbehalten und sorgt bereits jetzt für spürbare Verwerfungen im Sicherheitsökosystem.

Mythos und Project Glasswing: KI als Turbo-Bugfinder

Mythos ist ein spezialisiertes KI-Modell, das Quellcode nach Sicherheitslücken durchsucht und dabei deutlich schneller und breiter fündig wird als klassische Audits. Wegen dieses Potenzials stellt Anthropic den Zugriff derzeit nur einem begrenzten Kreis von Organisationen zur Verfügung. Das Programm „Project Glasswing“ soll es diesen Partnern ermöglichen, kritische Schwachstellen frühzeitig zu erkennen und zu beheben.

Teilnehmende berichten, dass Mythos in kurzer Zeit eine grosse Zahl an Bugs identifiziert. Viele davon wären prinzipiell auch von Menschen auffindbar, allerdings nur mit erheblich mehr Zeit- und Personalaufwand. Gleichzeitig führt die schiere Menge an Funden dazu, dass Teams mit dem Patchen kaum hinterherkommen – ein Hinweis darauf, wie stark KI-gestützte Analysen die Taktung im Schwachstellenmanagement verändern.

Globale Reaktionen: Von Panik bis Patching-Offensive

Allein die Ankündigung von Mythos hat international für Unruhe gesorgt. In Japan ordnete die Regierung eine umfassende Sicherheitsüberprüfung an, in Indien wurden Finanzinstitute zu einer beschleunigten Patching-Offensive gedrängt. Dahinter steht die Erkenntnis, dass nicht nur Mythos, sondern auch weniger leistungsfähige KI-Modelle inzwischen brauchbare Bugfinder sind – und damit potenziell auch Werkzeuge für Angreifer.

Die Konsequenz: Verteidiger müssen künftig davon ausgehen, dass Schwachstellen schneller entdeckt und häufiger ausgenutzt werden. Das verschiebt das Gleichgewicht zwischen Angreifern und Verteidigern und erhöht den Druck auf Unternehmen, ihre Prozesse für Schwachstellenmanagement, Code-Reviews und Deployment zu modernisieren.

Massenscan von Open-Source-Projekten

Anthropic hat Mythos bereits auf mehr als 1’000 Open-Source-Projekte angesetzt, die nach eigenen Angaben einen wesentlichen Teil des Internets und der eigenen Infrastruktur stützen. Das Ergebnis: rund 23’019 identifizierte Schwachstellen, davon geschätzt 6’202 mit hoher oder kritischer Schwere.

Für 1’752 der als hoch oder kritisch eingestuften Lücken wurde der vollständige Validierungsprozess durchlaufen. In 90,6 Prozent der Fälle bestätigte sich, dass es sich tatsächlich um reale Schwachstellen handelt. 62,4 Prozent dieser bestätigten Funde wurden wiederum als hoch oder kritisch eingestuft. Diese Zahlen unterstreichen, dass Mythos nicht nur viel „Rauschen“ produziert, sondern eine signifikante Menge relevanter Sicherheitsprobleme sichtbar macht.

Beispiel wolfSSL: Kritische Krypto-Lücke

Eine der gravierenden Lücken betraf die Kryptografie-Bibliothek wolfSSL, die auf Milliarden von Geräten eingesetzt wird. Mythos konnte ein Exploit-Konstrukt entwickeln, mit dem sich Zertifikate fälschen liessen. Damit wären etwa täuschend echte Fake-Websites für Banken oder E-Mail-Provider möglich gewesen, die für Endnutzer legitim wirken, aber von Angreifern kontrolliert werden.

Die entsprechende Schwachstelle wurde inzwischen gepatcht, und Anthropic kündigt eine detaillierte technische Analyse an. Unter der Kennung CVE-2026-5194 sollen weitere Informationen folgen. Der Fall illustriert, wie tiefgreifend die Auswirkungen einzelner, von KI entdeckter Lücken sein können – insbesondere in weit verbreiteten Basisbibliotheken.

Koordinierte Offenlegung und überlastete Maintainer

Wenn Mythos eine Schwachstelle meldet, arbeitet Anthropic mit Sicherheitspartnern zusammen, um den Fund zu reproduzieren und die Schwere neu zu bewerten. Erst nach dieser Bestätigung werden die Maintainer der betroffenen Projekte mit einem detaillierten Bericht informiert. Dieser Schritt ist bewusst vorsichtig gewählt, da viele Open-Source-Teams bereits mit einer Flut minderwertiger, KI-generierter Bugreports kämpfen.

Mehrere Maintainer berichten laut Anthropic von massiven Kapazitätsengpässen und haben das Unternehmen gebeten, die Offenlegungsgeschwindigkeit zu drosseln, um Zeit für die Entwicklung von Patches zu gewinnen. Von 530 gemeldeten hoch- oder kritisch eingestuften Schwachstellen sind bisher 75 gepatcht, 65 davon mit öffentlicher Advisory. Anthropic verweist darauf, dass man sich noch früh im 90-Tage-Fenster der eigenen Coordinated-Vulnerability-Disclosure-Policy befinde und weitere Fixes zu erwarten seien. Zudem würden Patches teils ohne öffentliche Hinweise eingespielt, was die Zählung erschwere.

Keine ausreichenden Schutzmechanismen gegen Missbrauch

Anthropic räumt offen ein, dass derzeit kein Unternehmen – inklusive Anthropic selbst – über Schutzmechanismen verfügt, die den Missbrauch von Modellen wie Mythos zuverlässig verhindern könnten. Die Gefahr: Ein frei verfügbares, hochleistungsfähiges Bugfinder-Modell könnte von Angreifern genutzt werden, um in kurzer Zeit grosse Mengen an Schwachstellen zu identifizieren und auszunutzen.

Vor diesem Hintergrund will Anthropic zunächst mit „kritischen Partnern“, darunter US-Behörden und verbündete Regierungen, zusammenarbeiten und Project Glasswing schrittweise ausweiten. Erst wenn deutlich stärkere Guardrails entwickelt sind, sollen „Mythos-klassige“ Modelle allgemein zugänglich gemacht werden. Was unter „naher Zukunft“ konkret zu verstehen ist, bleibt dabei offen.

Mehr KI als Antwort auf KI-Bugs?

Die grosse Zahl neu entdeckter Schwachstellen verschärft ein ohnehin überlastetes Sicherheitsökosystem. Anthropic schlägt als Gegenmassnahme – wenig überraschend – den verstärkten Einsatz von KI vor, etwa durch erweiterte Fähigkeiten des Claude-Modells zur Unterstützung von Entwicklerinnen und Entwicklern beim Analysieren und Beheben von Bugs.

Damit zeichnet sich ein Kreislauf ab: KI-gestützte Systeme finden mehr Lücken, als klassische Teams bewältigen können, und sollen gleichzeitig helfen, diese Lücken schneller zu schliessen. Ob dieser Ansatz die strukturellen Engpässe in Open-Source-Projekten und Unternehmens-IT tatsächlich entschärfen kann, hängt von Ressourcen, Prozessen und der Akzeptanz solcher Werkzeuge ab.

Fazit: Zwischen Sicherheitsgewinn und Risikohebel

Mythos zeigt, welches Potenzial spezialisierte KI-Modelle für die Softwaresicherheit haben: Sie decken in kurzer Zeit eine grosse Zahl relevanter Schwachstellen auf und können damit das Sicherheitsniveau von Basisinfrastrukturen deutlich erhöhen. Gleichzeitig verschärfen sie bestehende Probleme – von überlasteten Maintainer-Teams bis hin zur Gefahr, dass dieselben Fähigkeiten von Angreifern genutzt werden.

Solange robuste Schutzmechanismen fehlen, bleibt der kontrollierte Zugang zu Mythos ein sicherheitspolitischer Balanceakt. Für Organisationen bedeutet das: Sie sollten sich darauf einstellen, dass KI-gestützte Bugfinding-Tools – ob von Anthropic oder anderen Anbietern – zum Standard werden und ihre eigenen Prozesse für Code-Sicherheit, Patching und Incident Response entsprechend ausrichten.

Quelle: https://www.theregister.com/security/2026/05/25/anthropic-to-release-mythos-class-models-to-the-public/5245596